Uma extensão de carteira começou a enviar chaves privadas às escondidas em fevereiro de 2025. Só descobriram quase 20 meses depois.
O problema estava na extensão de navegador da Fearless Wallet, uma carteira de terceiros para o ecossistema $DOT e Kusama, mantida por uma equipa independente. A página na Chrome Web Store indicava 6.000 utilizadores.
Ontem à noite, depois das dez, a Polkadot publicou um alerta de segurança. A equipa técnica descobriu que, a 19 de fevereiro de 2025, uma alteração de código apresentada como sendo para o «ecossistema TON» introduziu código malicioso. Depois disso, nas versões 3.0.1, 3.0.3, 3.0.4 e 3.0.5, sempre que os utilizadores introduziam a palavra-passe para desbloquear a carteira, as chaves privadas podiam ser enviadas para o servidor dos atacantes. O código funcionava de forma intermitente e continuou ativo até 10 de outubro deste ano.
Até agora, foram comunicadas 8 vítimas. Foram roubados 17.286 DOT no total, o equivalente a cerca de 19 mil dólares, ao preço atual de aproximadamente 1,11 dólares. Não é muito dinheiro. Mas o código esteve ali, silenciosamente, durante um ano e meio. Ninguém sabe quantas pessoas desbloquearam a carteira nesse período. A investigação não encontrou esse código na aplicação para telemóvel, mas quem também tiver importado a mesma frase de recuperação para a extensão deve considerar as chaves expostas.
A recomendação oficial é direta: criar uma carteira nova, com novas chaves, e transferir para lá todos os ativos. Mudar apenas a palavra-passe ou usar outro programa de carteira não resolve o problema: as chaves privadas já foram enviadas.
É isso que mais arrepia. Estas pessoas não clicaram em ligações de phishing nem assinaram autorizações suspeitas. Apenas abriram a extensão normalmente e introduziram a palavra-passe.
O problema estava na extensão de navegador da Fearless Wallet, uma carteira de terceiros para o ecossistema $DOT e Kusama, mantida por uma equipa independente. A página na Chrome Web Store indicava 6.000 utilizadores.
Ontem à noite, depois das dez, a Polkadot publicou um alerta de segurança. A equipa técnica descobriu que, a 19 de fevereiro de 2025, uma alteração de código apresentada como sendo para o «ecossistema TON» introduziu código malicioso. Depois disso, nas versões 3.0.1, 3.0.3, 3.0.4 e 3.0.5, sempre que os utilizadores introduziam a palavra-passe para desbloquear a carteira, as chaves privadas podiam ser enviadas para o servidor dos atacantes. O código funcionava de forma intermitente e continuou ativo até 10 de outubro deste ano.
Até agora, foram comunicadas 8 vítimas. Foram roubados 17.286 DOT no total, o equivalente a cerca de 19 mil dólares, ao preço atual de aproximadamente 1,11 dólares. Não é muito dinheiro. Mas o código esteve ali, silenciosamente, durante um ano e meio. Ninguém sabe quantas pessoas desbloquearam a carteira nesse período. A investigação não encontrou esse código na aplicação para telemóvel, mas quem também tiver importado a mesma frase de recuperação para a extensão deve considerar as chaves expostas.
A recomendação oficial é direta: criar uma carteira nova, com novas chaves, e transferir para lá todos os ativos. Mudar apenas a palavra-passe ou usar outro programa de carteira não resolve o problema: as chaves privadas já foram enviadas.
É isso que mais arrepia. Estas pessoas não clicaram em ligações de phishing nem assinaram autorizações suspeitas. Apenas abriram a extensão normalmente e introduziram a palavra-passe.